Interpelacja w sprawie nadmiernych sankcji w projekcie ustawy o krajowym systemie cyberbezpieczeństwa (UC32) jako przykładu nadregulacji (gold-platingu)

Interpelacja w sprawie nadmiernych sankcji w projekcie ustawy o krajowym systemie cyberbezpieczeństwa (UC32) jako przykładu nadregulacji (gold-platingu) Interpelacja nr 10188 do ministra cyfryzacji w sprawie nadmiernych sankcji w projekcie ustawy o krajowym systemie cyberbezpieczeństwa (UC32) jako przykładu nadregulacji (gold-platingu) Zgłaszający: Dariusz Matecki Data wpływu: 09-06-2025 Interpelacja odnosi się do kolejnego punktu raportu Zespołu SprawdzaMY Rafała Brzoski, wskazującego na przypadki wykraczania przez polskie prawo poza unijne wymogi – tzw. gold-platingu. Chodzi o projekt ustawy o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (UC32), a w szczególności o projektowane art. 73 ust. 5 oraz art. 74 ust. 4. Przepisy te, choć mają implementować dyrektywę NIS2 (2022/2555), wprowadzają znacznie surowsze sankcje i mechanizmy egzekwowania niż te, których wymaga prawo unijne. Dyrektywa NIS2 przewiduje maksymalne kary administracyjne dla podmiotów kluczowych (do 10 mln euro lub 2% obrotu) oraz dla podmiotów ważnych (do 7 mln euro lub 1,4% obrotu). Projekt ustawy UC32 wykracza jednak poza te ramy, wprowadzając możliwość nałożenia kar do 100 mln zł – bez względu na to, czy chodzi o podmiot kluczowy, ważny, czy mniejszy. Co więcej, przesłanki umożliwiające nałożenie takiej kary są sformułowane w sposób nieostry i subiektywny – wystarczy stwierdzenie „bezpośredniego i poważnego cyberzagrożenia”, co może być efektem nawet niezamierzonego lub niezawinionego incydentu cybernetycznego. Projekt przewiduje też możliwość nadania decyzji rygoru natychmiastowej wykonalności – co w praktyce oznacza możliwość egzekucji wysokiej kary przed jej prawomocnym rozpatrzeniem przez sąd administracyjny. Wprowadzenie takich przepisów niesie poważne konsekwencje: generuje ogromne ryzyko finansowe dla przedsiębiorców działających w 18 sektorach gospodarki objętych ustawą, zniechęca do inwestowania w Polsce, zwłaszcza podmioty zagraniczne, przerzuca odpowiedzialność za skutki cyberataków na ofiary zamiast na sprawców, obniża przewidywalność systemu prawa i jego spójność z europejskim standardem proporcjonalności. W związku z publiczną deklaracją z 22 maja 2025 roku o przygotowaniu ponad 100 ustaw deregulacyjnych, należy uzyskać odpowiedzi: Czy rząd planuje wycofanie z projektu UC32 przepisów przewidujących możliwość nałożenia kary do 100 mln zł, w szczególności w sytuacjach, gdy incydent cyberbezpieczeństwa nie wynika z zawinionego działania podmiotu? Czy rząd przeprowadził ocenę skutków finansowych tych przepisów dla firm działających w sektorach objętych ustawą, w tym wpływu na inwestycje i koszty ubezpieczeń? Czy planowana regulacja została oceniona pod kątem zgodności z zasadą proporcjonalności i ochrony praw przedsiębiorców wynikających z Karty praw podstawowych Unii Europejskiej? Czy rząd przewiduje przywrócenie standardowej procedury administracyjnej, bez nadawania decyzjom karą rygoru natychmiastowej wykonalności w sytuacjach braku zawinienia? Projektowane przepisy sankcyjne stanowią poważne odstępstwo od europejskiego standardu i wymagają rewizji w ramach zapowiedzianej deregulacji.